Beleid voor verantwoord melden

Bij WebinarGeek erkennen we de cruciale rol van beveiliging bij het leveren van kwaliteitsvolle diensten aan onze wereldwijde gebruikersgroep. Ondanks onze voortdurende inspanningen om onze systemen te beschermen, die hier worden toegelicht, kunnen er kwetsbaarheden ontstaan. We geloven in samenwerking met de gemeenschap van beveiligingsonderzoekers om problemen snel en efficiënt te identificeren en op te lossen. We moedigen onderzoekers en ethische hackers aan om op een verantwoordelijke manier met ons samen te werken en zo onze digitale omgeving te verbeteren.

Richtlijnen voor het melden van kwetsbaarheden

We nodigen beveiligingsonderzoekers en -liefhebbers uit om mogelijke kwetsbaarheden in onze systemen te melden, met begrip van en instemming met de volgende richtlijnen:

Contact: Stuur je bevindingen naar security@webinargeek.com. Geef gedetailleerde informatie, waaronder stappen om de kwetsbaarheid te reproduceren, zodat ons beveiligingsteam het probleem snel kan valideren en aanpakken. We zijn ervan overtuigd dat gewone e-mailversleuteling voldoende is om de vertrouwelijkheid te bieden die nodig is voor het melden van een kwetsbaarheid. Als je echter vindt dat je kwetsbaarheidsrapport PGP-versleuteling vereist, vind je onze openbare sleutel onderaan deze pagina.
Bevestiging: We verbinden ons ertoe de ontvangst van je rapport binnen twee werkdagen te bevestigen.
Onderzoek en oplossing: Ons toegewijde team onderzoekt gemelde kwetsbaarheden en streeft ernaar ze binnen een week na de bevestiging op te lossen. De complexiteit en ernst van het probleem kunnen de oplossingstijd beïnvloeden.
Vertrouwelijkheid: We vragen je om de vertrouwelijkheid van ontdekte kwetsbaarheden te bewaren tot we ze hebben opgelost. We stemmen de openbare bekendmaking van eventuele bevindingen met je af.
Beloningen en erkenning: Niet alle rapporten komen in aanmerking voor een beloning, maar we beoordelen inzendingen per geval voor mogelijke erkenning of beloning. De aard van de beloning hangt af van de ernst en impact van de ontdekte kwetsbaarheid.
Juridische bescherming: We beloven geen juridische stappen te ondernemen tegen personen die kwetsbaarheden volgens deze richtlijnen melden, op voorwaarde dat zij zich niet schuldig hebben gemaakt aan onwettige activiteiten of misbruik van de ontdekte kwetsbaarheid.

Wat we niet aanvaarden

Pogingen om gegevens van anderen te openen, downloaden of wijzigen.
Denial-of-serviceaanvallen (DoS).
Spammen.
Social engineering of fysieke aanvallen op onze eigendommen of gegevens.

Beloningsprogramma

Beloningen worden bepaald op basis van het risiconiveau van de gemelde beveiligingskwetsbaarheid en naar goeddunken van WebinarGeek.
Bij dubbele meldingen wordt de beloning toegekend aan de eerste melder.
Beloningen kunnen veranderen en variëren naargelang de uniciteit en ernst van de kwetsbaarheid.
Buiten Europa kunnen beloningen alleen via PayPal worden uitbetaald. Binnen Europa (IBAN) ondersteunen we ook bankoverschrijvingen.

Buiten het toepassingsgebied

Meldingen van niet-beveiligingsgerelateerde problemen of vragen.
Diensten en software van derden die niet rechtstreeks door WebinarGeek worden beheerd.
Publiek bekende kwetsbaarheden die al zijn aangepakt.
Kwetsbaarheden die:
- HTTP-404-codes of andere niet-HTTP-200-codes zijn
- Versiebanners op openbare diensten zijn
- Clickjacking op pagina's zonder aanmelding zijn
- Cross-site request forgery (CSRF) op formulieren zijn die anoniem toegankelijk zijn
- Een ontbrekende 'secure'- of 'HTTP Only'-vlag op niet-gevoelige cookies betreffen
- Meldingen over SSL-certificaten betreffen (bijv. een zwak cipher)
- Gebruik van de HTTP OPTIONS-methode betreffen
- Host Header Injection betreffen
- Een ontbrekend SPF-, DKIM- of DMARC-record betreffen
- Een ontbrekende DNSSEC betreffen
- Ontbrekende HTTP-beveiligingsheaders betreffen
- Verouderde softwareversies zonder proof of concept of werkende exploit melden
- Fouten in de bedrijfslogica, waaronder misbruik van beoogde productstromen, logica rond prijzen of facturering, opzettelijk ontworpen machtigingsmodellen of problemen die onrealistisch gebruikersgedrag vereisen, tenzij ze een duidelijke beveiligingskwetsbaarheid met directe impact aantonen
- Best practices

Slotverklaring

Je bijdragen zijn van onschatbare waarde voor de beveiliging en integriteit van onze diensten. WebinarGeek zet zich in om open met de beveiligingsgemeenschap samen te werken om kwetsbaarheden op een verantwoordelijke manier te beperken en op te lossen. We kijken uit naar je inzendingen en danken je voor je inspanningen om onze systemen veilig te houden.

Neem voor verdere vragen of inzendingen contact op met security@webinargeek.com.

Openbare PGP-sleutel

Gerelateerde artikelen